CVE-2026-16776 in MP3 Audio Player Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「MP3 Audio Player – Music Player, Podcast Player & Radio」by Sonaarには、5.14.2以前の全バージョンにおいて、ショートコード属性を介した格納型クロスサイトスクリプティング（Stored Cross-Site Scripting: XSS）の脆弱性が存在します。これは、入力値のサニタイズと出力時のエスケープが不十分であることが原因です。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、ページに任意のWebスクリプトを注入でき、ユーザーがそのページにアクセスした際にスクリプトが実行されます。WordPressの保存時処理におけるwp_kses_postはペイロードを無効化できません。これは、攻撃が投稿コンテンツ内の生HTMLではなくショートコード属性を通じて行われるため、エスケープされていない値がレンダリング時まで保持されるからです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.